家用路由器會遭受攻擊嗎?
家用路由器很悲劇的是:已經被黑色產業鏈的同學們盯上了。
路由器如:TP-Link、D-Link、一堆國產的、開源固件打造或改改用的,都存在各類安全問題,比如老外做了個匯總頁面,大家可以去圍觀下:http://routerpwn.com/,還比如ZoomEye團隊前段時間繪制出了全球存在D-Link后門的受影響路由分布:http://www.zoomeye.org/lab/dlink(關于D-Link后門的科普圖,大家可以看這:http://weibo.com/1652595727/AfFkAegd3?mod=weibotime)。
我們知道一個攻擊要風靡,不僅是在“學院”或“實驗室”里進行概念驗證,一旦工業化就會流行,今年有個非常重要的趨勢:黑產盯上了家庭/公司路由器,通過漏洞技巧去篡改這些路由器的DNS服務器。這意味著:
用這個路由器上網的一批用戶都被“劫持”了;
上網流量被劫持,意味著上網隱私沒了,密碼、證書等都可能泄露;
返回的頁面可能被篡改植入廣告、掛馬之類的;
上周百度搜索上線了一個非常重要的策略,如果發現有網站被植入惡意篡改用戶路由DNS的代碼時,就會攔截頁面,打出提示!據安全聯盟的統計發現過萬的網站被黑,植入了路由DNS劫持代碼,這個數量非常之大。居然我身邊的幾位同學都來和我說自己被劫持了!我是安全圈的,我的同學根本不是這個圈子,只是普通的網民!這說明路由DNS劫持攻擊已經在風靡。
過去一段時間,我們團隊就捕獲了至少5個變種。這類攻擊的模式一般是:
攻擊者黑下一批網站;
攻擊者往這批網站里植入路由DNS劫持代碼(各種變形);
攻擊者傳播或坐等目標用戶訪問這批網站;
用戶訪問這些網站后,瀏覽器就會執行“路由DNS劫持代碼”;
用戶的家庭/公司路由器如果存在漏洞就會中招;
用戶上網流量被“假DNS服務器”劫持,并出現奇怪的廣告等現象;
雖然這次攻擊主要針對Tp-Link路由器,不過中招的路由不僅TP-Link!我們捕獲的樣本還發現其他的,我們特別弄了一個專題:http://zhanzhang.anquan.org/topic/dns_hijacking/。隨時更新,歡迎大家圍觀。
攻擊還在不斷升級,我隨時更新該回答。
關于解決方案我們已經放到我們的專題里了:
http://zhanzhang.anquan.org/topic/dns_hijacking/
大家請挪步查看,解決方案不僅針對網民還針對站長,解決方案我們本周會持續優化,因為技術上完美還存在一些問題(我們想讓解決方案看起來最傻瓜化)。
但是如果你是網民的話,參考我們專題里列的教程去操作,那就沒問題了。
而,如果你是站長的話,除了查出自己的網站被黑植入了路由DNS劫持代碼之外,清理惡意代碼后,還得好好修補網站漏洞……小心反復被黑……





















